L'essentiel au 30 octobre 2026
- Avis : CERTFR-2026-AVI-1389, 27 octobre 2026 (CERT-FR, CERTFR-2026-AVI-1389).
- Versions touchées : GLPI 11.0.x avant 11.0.9 ; GLPI avant 10.0.27.
- Faille la plus sensible : injection SQL dans la fonction de planning, sans authentification préalable, notée 8,7/10 (CVSS 4.0) par l'éditeur (Armees.com, 28 octobre 2026).
- Versions à viser : GLPI 11.0.11 ou GLPI 10.0.28, dernière version de la branche 10 (IT-Connect, 2 octobre 2026).
- Chiffre régional : aucun. Nous n'avons trouvé aucune donnée sur les instances GLPI des Hauts-de-France.
Ce que dit l'avis du CERT-FR, et ce qu'il ne dit pas
L'avis mentionne des atteintes à l'intégrité des données, des injections SQL et des injections de code indirectes à distance (XSS). Il renvoie vers sept avis de sécurité publiés par l'éditeur sur GitHub, sans identifiant CVE (CERT-FR, CERTFR-2026-AVI-1389). Trois d'entre eux sont détaillés par la presse spécialisée : une injection SQL dans la fonction de planning, exploitable sans être connecté ; un contournement de la double authentification dans GLPI 11, qui suppose que l'attaquant détienne déjà le jeton de réinitialisation du mot de passe d'un utilisateur ; et une faiblesse de l'authentification par certificat X.509, quand elle est activée avec un serveur web mal configuré (Armees.com, 28 octobre 2026). Ce que l'avis ne dit pas compte autant : il ne signale aucune exploitation confirmée contre une administration ou une entreprise française. L'existence d'un contournement de la double authentification ne prouve pas non plus qu'un jeton ait été volé quelque part. Il s'agit d'un avis préventif, pas d'une alerte à une attaque en cours.Un décalage de six semaines entre correctif et avis
La chronologie explique pourquoi l'avis paraît tard. GLPI 11.0.9 et 10.0.27 ont été publiés le 16 septembre 2026 et corrigeaient douze failles, dont dix jugées importantes (IT-Connect, 24 septembre 2026). Le 30 septembre, GLPI 11.0.10 et 10.0.28 ont corrigé huit failles supplémentaires. La 11.0.10 a provoqué une régression dans le système de plugins : elle a été remplacée dès le 1er octobre par la 11.0.11, qui reprend les mêmes correctifs (IT-Connect, 2 octobre 2026). Les bulletins techniques détaillés de l'éditeur, eux, datent du 26 octobre (Armees.com, 28 octobre 2026). Le risque pratique est là : une fois les bulletins publiés, la description des failles est accessible à tous. Une PME qui a attendu « une période plus calme » pour mettre à jour son outil de tickets se retrouve avec un logiciel dont les faiblesses sont documentées. Teclib', l'éditeur, a indiqué s'attendre à des versions de sécurité environ toutes les deux semaines, en partie parce que l'IA accélère la découverte de vulnérabilités (IT-Connect, 24 septembre 2026).Pourquoi cela concerne les PME des Hauts-de-France
GLPI est un outil de l'ombre : installé un jour par un technicien, il tourne sur un petit serveur et n'est plus regardé. Il contient pourtant la liste des postes, des licences et des demandes des collaborateurs, parfois des comptes et des pièces jointes. Une PME industrielle de la vallée de la Somme, un cabinet comptable lillois ou une mairie de l'Oise qui l'utilisent ont la même exposition que n'importe quelle organisation : celle de leur dernière mise à jour. Un repère historique, à manier avec précaution : en mars 2025, ONYPHE estimait qu'environ 3 035 instances GLPI dans le monde étaient potentiellement vulnérables à deux autres failles, dont environ 680 en France (IT-Connect, 17 mars 2025, données ONYPHE). C'est une autre alerte, d'une autre époque ; elle montre seulement que des instances GLPI exposées sur Internet et non à jour sont courantes. Nous n'avons pas trouvé de chiffre équivalent pour les Hauts-de-France en 2026. Le sujet n'est pas nouveau sur Synapse Picardie : l'outil de BI Metabase a connu un scénario voisin en septembre, voir notre article sur l'alerte CERT-FR Metabase, et nous avons analysé la priorisation des correctifs après le Patch Tuesday d'octobre.Cinq vérifications à faire cette semaine
- Retrouvez votre version. Dans GLPI, la fenêtre « À propos » du menu utilisateur indique la version installée. Si elle est inférieure à 11.0.9 ou 10.0.27, traitez-le en priorité.
- Vérifiez si l'instance est joignable depuis Internet. L'injection SQL sans authentification est surtout critique dans ce cas, selon IT-Connect. Si l'outil n'a pas besoin d'être public, restreignez l'accès (VPN, liste d'adresses autorisées).
- Sauvegardez avant de mettre à jour. Base de données et dossiers files, plugins, config et marketplace, ainsi que le fichier de clé glpicrypt.key, comme le détaille le tutoriel d'IT-Connect.
- Visez la bonne version. GLPI 11.0.11 pour la branche 11 (sautez la 11.0.10), GLPI 10.0.28 pour la branche 10. Contrôlez ensuite les plugins, qui peuvent bloquer une mise à jour.
- Planifiez la sortie de GLPI 10. La 10.0.28 sera la dernière version de la branche, d'après IT-Connect. Prévoyez une migration vers GLPI 11, voire 12 une fois la version stable publiée.
Ce que nous ne savons pas
Nous n'avons pas lu les sept avis GitHub dans leur intégralité : la page de l'avis sur l'injection SQL n'était pas accessible, et nous nous appuyons sur le CERT-FR, IT-Connect et Armees.com pour les détails. Nous ne connaissons ni le nombre d'instances GLPI exposées en 2026, ni leur répartition régionale, ni l'existence d'une exploitation en France. Une version plus récente que la 11.0.11 a pu paraître depuis le 2 octobre sans que nous l'ayons repérée. Cet article ne remplace pas l'avis de votre prestataire informatique.FAQ : les failles GLPI et les PME
Quelles versions de GLPI sont concernées par l'avis du CERT-FR ?
Selon le CERT-FR (CERTFR-2026-AVI-1389, 27 octobre 2026) : les GLPI 11.0.x antérieurs à 11.0.9 et les GLPI antérieurs à 10.0.27. Des correctifs plus récents existent : 11.0.11 et 10.0.28, d'après IT-Connect.
Pourquoi cet avis paraît-il en octobre pour des correctifs de septembre ?
Les correctifs 11.0.9 et 10.0.27 datent du 16 septembre 2026. Les bulletins techniques détaillés de l'éditeur ont été publiés le 26 octobre et le CERT-FR a émis son avis le 27 octobre, d'après Armees.com et le CERT-FR. Une instance non mise à jour depuis septembre est donc exposée à des failles désormais documentées.
Dois-je passer à la 11.0.10 ?
Non : d'après IT-Connect, la 11.0.10 provoquait une régression dans le système de plugins. La 11.0.11, publiée le 1er octobre 2026, la remplace avec les mêmes correctifs de sécurité.
Que devient GLPI 10 ?
D'après IT-Connect, la 10.0.28 sera la dernière version de la branche 10.0, qui ne recevra plus de correctifs à l'arrivée de GLPI 12. Aucune date de fin de support précise n'est donnée dans cet article. Il faut donc prévoir une migration vers GLPI 11 ou 12.
Y a-t-il eu des attaques en France via ces failles ?
L'avis du CERT-FR ne signale aucune exploitation confirmée contre une administration ou une entreprise française. Nous n'avons pas non plus trouvé de chiffre sur le nombre d'instances exposées dans les Hauts-de-France.
Sources : CERT-FR, CERTFR-2026-AVI-1389 · IT-Connect, 24 septembre 2026 · IT-Connect, 2 octobre 2026 · Armees.com, 28 octobre 2026 · IT-Connect, 17 mars 2025, données ONYPHE · tutoriel de mise à jour d'IT-Connect
